Siapa Yang Terjejas

Mangsa yang dinamakan merangkumi perkhidmatan IT, perhotelan, telekomunikasi, runcit, dan logistik :

• McDonald's Corporation — kira-kira 1,700,000+ rekod (direktori pekerja penuh)
• Tata Consultancy Services (TCS) — kira-kira 800,000+ rekod (TCS menyatakan data itu kelihatan berusia lebih empat tahun, tiada pelanggaran disahkan)
• Vodafone — kira-kira 425,000+ rekod (direktori pekerja penuh)
• HCL Technologies — 250,000+ rekod (HCL menafikan, tiada bukti pelanggaran ditemui)
• Kyndryl — direktori pekerja penuh
• InterContinental Hotels Group (IHG) — direktori pekerja
• Gap Inc. — direktori pekerja
• Hexaware Technologies — direktori pekerja
• Wyndham Hotels & Resorts — direktori pekerja

Peringatan penting: Beberapa mangsa — TCS, HCLTech, dan lain-lain — secara terbuka menyatakan mereka tidak menemui bukti pelanggaran langsung terhadap sistem mereka sendiri, dengan TCS menyatakan data itu kelihatan berusia lebih empat tahun dan terhad kepada maklumat pekerja asas . Ini menunjukkan data mungkin telah dikumpulkan daripada kebocoran lama, pendedahan persekitaran rakan kongsi, atau titik akses pihak ketiga dan bukannya pencerobohan baru ke dalam setiap penyewa Azure syarikat.

Kandungan Data Yang Dicuri

Direktori yang dieksfiltrasi adalah eksport pekerja Azure AD / Entra ID standard dan biasanya termasuk :

• Nama penuh pekerja
• Alamat e-mel korporat
• ID Pekerja/Pengguna
• Jawatan dan nama jabatan
• Medan laporan kepada pengurus
• Nombor telefon
• Data hierarki dan struktur pelaporan organisasi

Penyenaraian secara khusus menampilkan screenshot portal Azure / Entra ID untuk membuktikan asal data . Data tersebut tidak kelihatan termasuk maklumat kewangan pelanggan, kata laluan, atau dokumen perniagaan terklasifikasi.

Bagaimana Penyerang Mendapat Akses: Vektor Kemungkinan

Walaupun Hudson Rock belum menerbitkan analisis punca utama yang pasti untuk kempen khusus ini, bukti dan corak pelaku ancaman selari menunjukkan beberapa vektor:

Kredential terkompromi daripada perisian pencuri maklumat (infostealer) adalah vektor utama yang paling mungkin. Infostealer seperti Lumma, RedLine, dan Vidar menuai kredential yang disimpan dalam pelayar, kuki sesi, dan token MFA. Siasatan Hudson Rock yang selari ke dalam pelaku ancaman "Zestix" menunjukkan bahawa kecurian kredential dari log infostealer adalah kaedah kemasukan utama untuk eksfiltrasi data awan, dan banyak perusahaan kekurangan MFA pada portal awan mereka .

Kecurian kuki sesi membolehkan penyerang memintas kemasukan kata laluan sepenuhnya. Infostealer menangkap kuki sesi aktif untuk Azure / Entra ID, membolehkan penyerang mengesahkan sebagai pengguna mangsa, kadangkala memintas MFA .

MFA yang lemah atau tidak wujud kekal sebagai faktor kritikal. Laporan Hudson Rock Januari 2026 mendapati berpuluh-puluh organisasi telah mencuri data dari sistem awan dengan tepat kerana mereka tidak menguatkuasakan MFA pada pentadbiran portal .

Penyalahgunaan integrasi pihak ketiga adalah satu lagi kemungkinan. Konteks yang lebih luas termasuk pelanggaran rantaian bekalan LiteLLM (Mac 2026), di mana gerbang AI sumber terbuka yang terjejas mendedahkan kredential CI/CD untuk 2,488 organisasi . Beberapa firma yang sama muncul dalam set mangsa TheHatman, walaupun pautan langsung belum disahkan.

Risiko Segera

Walaupun tanpa kata laluan atau data kewangan, direktori pekerja yang dicuri membolehkan beberapa serangan berimpak tinggi:

• Kompromi E-mel Perniagaan (BEC): Dengan carta organisasi, rantaian pengurus, dan e-mel korporat yang disahkan, penyerang boleh menyamar sebagai eksekutif (CEO/CFO) untuk membenarkan pindahan wang atau pembayaran penipuan .
• Spear-phishing: Jawatan terperinci, jabatan, dan struktur pelaporan membolehkan e-mel pancingan data yang sangat disasarkan dan meyakinkan yang disesuaikan dengan peranan tertentu .
• Eskalasi keistimewaan dan pergerakan sisi: Jika kredential yang dicuri termasuk pentadbir global Azure AD, penyerang boleh mengubah suai konfigurasi penyewa, mencipta akaun pintu belakang, atau mengakses perkhidmatan Microsoft 365 yang bersambung, SharePoint, dan data Teams .
• Kecurian identiti dan kejuruteraan sosial: Gabungan PII dan konteks organisasi membolehkan penyamaran pekerja dalam panggilan atau e-mel ke meja bantuan IT untuk meminta penetapan semula kata laluan atau perubahan peranti MFA.

Bagaimana Kempen Ini Sesuai Dengan Trend Jenayah Siber 2026

Kempen TheHatman menunjukkan peralihan struktur dalam landskap jenayah siber yang dipercepatkan melalui 2025–2026:

1. Ransomware semakin merosot memihak kepada pemerasan kecurian data. Pelaku ancaman semakin melangkau penyulitan sepenuhnya. Mereka mengeksfiltrasi data terlebih dahulu, kemudian mengancam untuk menerbitkan atau menjualnya jika tidak dibayar. Ini lebih pantas, lebih senyap, dan mengelakkan kerumitan operasi menggunakan ransomware merentas rangkaian .

2. Kompromi awan berasaskan kredential adalah TTP dominan. Vektor serangan utama bukan lagi eksploitasi perisian tetapi kompromi identiti: perisian pencuri maklumat dan pancingan data menuai kredential yang sah pada skala besar, yang digunakan penyerang untuk log masuk terus ke portal awan (Azure, AWS, ShareFile, Nextcloud) sebagai pengguna yang sah . Playbook Zestix dan TheHatman hampir serupa.

3. Pengantara akses awal (IAB) memberi makan ekosistem. TheHatman nampaknya beroperasi sebagai penjual data yang dieksfiltrasi, serupa dengan model IAB di mana pelaku khusus memberi tumpuan kepada akses, bukan penggunaan. Pengkhususan ini menurunkan halangan kemasukan untuk penjenayah hiliran .

4. Amplifikasi rantaian bekalan. Insiden LiteLLM menunjukkan bagaimana satu kompromi alat AI sumber terbuka boleh mendedahkan kredential untuk ribuan firma hiliran . Penyerang kini menyasarkan integrasi pihak ketiga yang digunakan secara meluas untuk memaksimumkan jangkauan mangsa.

5. Direktori pekerja sebagai komoditi. Daripada menyasarkan kad kredit atau rekod perubatan, pelaku ancaman memonetisasi metadata organisasi (nama, jawatan, hierarki) kerana ia membolehkan kejuruteraan sosial keyakinan tinggi pada skala besar — strategi berisiko rendah dan ganjaran tinggi berbanding kecurian data tradisional .

Siapa Yang Terjejas

Mangsa yang dinamakan merangkumi perkhidmatan IT, perhotelan, telekomunikasi, runcit, dan logistik :

• McDonald's Corporation — kira-kira 1,700,000+ rekod (direktori pekerja penuh)
• Tata Consultancy Services (TCS) — kira-kira 800,000+ rekod (TCS menyatakan data itu kelihatan berusia lebih empat tahun, tiada pelanggaran disahkan)
• Vodafone — kira-kira 425,000+ rekod (direktori pekerja penuh)
• HCL Technologies — 250,000+ rekod (HCL menafikan, tiada bukti pelanggaran ditemui)
• Kyndryl — direktori pekerja penuh
• InterContinental Hotels Group (IHG) — direktori pekerja
• Gap Inc. — direktori pekerja
• Hexaware Technologies — direktori pekerja
• Wyndham Hotels & Resorts — direktori pekerja

Peringatan penting: Beberapa mangsa — TCS, HCLTech, dan lain-lain — secara terbuka menyatakan mereka tidak menemui bukti pelanggaran langsung terhadap sistem mereka sendiri, dengan TCS menyatakan data itu kelihatan berusia lebih empat tahun dan terhad kepada maklumat pekerja asas . Ini menunjukkan data mungkin telah dikumpulkan daripada kebocoran lama, pendedahan persekitaran rakan kongsi, atau titik akses pihak ketiga dan bukannya pencerobohan baru ke dalam setiap penyewa Azure syarikat.

Kandungan Data Yang Dicuri

Direktori yang dieksfiltrasi adalah eksport pekerja Azure AD / Entra ID standard dan biasanya termasuk :

• Nama penuh pekerja
• Alamat e-mel korporat
• ID Pekerja/Pengguna
• Jawatan dan nama jabatan
• Medan laporan kepada pengurus
• Nombor telefon
• Data hierarki dan struktur pelaporan organisasi

Penyenaraian secara khusus menampilkan screenshot portal Azure / Entra ID untuk membuktikan asal data . Data tersebut tidak kelihatan termasuk maklumat kewangan pelanggan, kata laluan, atau dokumen perniagaan terklasifikasi.

Bagaimana Penyerang Mendapat Akses: Vektor Kemungkinan

Walaupun Hudson Rock belum menerbitkan analisis punca utama yang pasti untuk kempen khusus ini, bukti dan corak pelaku ancaman selari menunjukkan beberapa vektor:

Kredential terkompromi daripada perisian pencuri maklumat (infostealer) adalah vektor utama yang paling mungkin. Infostealer seperti Lumma, RedLine, dan Vidar menuai kredential yang disimpan dalam pelayar, kuki sesi, dan token MFA. Siasatan Hudson Rock yang selari ke dalam pelaku ancaman "Zestix" menunjukkan bahawa kecurian kredential dari log infostealer adalah kaedah kemasukan utama untuk eksfiltrasi data awan, dan banyak perusahaan kekurangan MFA pada portal awan mereka .

Kecurian kuki sesi membolehkan penyerang memintas kemasukan kata laluan sepenuhnya. Infostealer menangkap kuki sesi aktif untuk Azure / Entra ID, membolehkan penyerang mengesahkan sebagai pengguna mangsa, kadangkala memintas MFA .

MFA yang lemah atau tidak wujud kekal sebagai faktor kritikal. Laporan Hudson Rock Januari 2026 mendapati berpuluh-puluh organisasi telah mencuri data dari sistem awan dengan tepat kerana mereka tidak menguatkuasakan MFA pada pentadbiran portal .

Penyalahgunaan integrasi pihak ketiga adalah satu lagi kemungkinan. Konteks yang lebih luas termasuk pelanggaran rantaian bekalan LiteLLM (Mac 2026), di mana gerbang AI sumber terbuka yang terjejas mendedahkan kredential CI/CD untuk 2,488 organisasi . Beberapa firma yang sama muncul dalam set mangsa TheHatman, walaupun pautan langsung belum disahkan.

Risiko Segera

Walaupun tanpa kata laluan atau data kewangan, direktori pekerja yang dicuri membolehkan beberapa serangan berimpak tinggi:

• Kompromi E-mel Perniagaan (BEC): Dengan carta organisasi, rantaian pengurus, dan e-mel korporat yang disahkan, penyerang boleh menyamar sebagai eksekutif (CEO/CFO) untuk membenarkan pindahan wang atau pembayaran penipuan .
• Spear-phishing: Jawatan terperinci, jabatan, dan struktur pelaporan membolehkan e-mel pancingan data yang sangat disasarkan dan meyakinkan yang disesuaikan dengan peranan tertentu .
• Eskalasi keistimewaan dan pergerakan sisi: Jika kredential yang dicuri termasuk pentadbir global Azure AD, penyerang boleh mengubah suai konfigurasi penyewa, mencipta akaun pintu belakang, atau mengakses perkhidmatan Microsoft 365 yang bersambung, SharePoint, dan data Teams .
• Kecurian identiti dan kejuruteraan sosial: Gabungan PII dan konteks organisasi membolehkan penyamaran pekerja dalam panggilan atau e-mel ke meja bantuan IT untuk meminta penetapan semula kata laluan atau perubahan peranti MFA.

Bagaimana Kempen Ini Sesuai Dengan Trend Jenayah Siber 2026

Kempen TheHatman menunjukkan peralihan struktur dalam landskap jenayah siber yang dipercepatkan melalui 2025–2026:

1. Ransomware semakin merosot memihak kepada pemerasan kecurian data. Pelaku ancaman semakin melangkau penyulitan sepenuhnya. Mereka mengeksfiltrasi data terlebih dahulu, kemudian mengancam untuk menerbitkan atau menjualnya jika tidak dibayar. Ini lebih pantas, lebih senyap, dan mengelakkan kerumitan operasi menggunakan ransomware merentas rangkaian .

2. Kompromi awan berasaskan kredential adalah TTP dominan. Vektor serangan utama bukan lagi eksploitasi perisian tetapi kompromi identiti: perisian pencuri maklumat dan pancingan data menuai kredential yang sah pada skala besar, yang digunakan penyerang untuk log masuk terus ke portal awan (Azure, AWS, ShareFile, Nextcloud) sebagai pengguna yang sah . Playbook Zestix dan TheHatman hampir serupa.

3. Pengantara akses awal (IAB) memberi makan ekosistem. TheHatman nampaknya beroperasi sebagai penjual data yang dieksfiltrasi, serupa dengan model IAB di mana pelaku khusus memberi tumpuan kepada akses, bukan penggunaan. Pengkhususan ini menurunkan halangan kemasukan untuk penjenayah hiliran .

4. Amplifikasi rantaian bekalan. Insiden LiteLLM menunjukkan bagaimana satu kompromi alat AI sumber terbuka boleh mendedahkan kredential untuk ribuan firma hiliran . Penyerang kini menyasarkan integrasi pihak ketiga yang digunakan secara meluas untuk memaksimumkan jangkauan mangsa.

5. Direktori pekerja sebagai komoditi. Daripada menyasarkan kad kredit atau rekod perubatan, pelaku ancaman memonetisasi metadata organisasi (nama, jawatan, hierarki) kerana ia membolehkan kejuruteraan sosial keyakinan tinggi pada skala besar — strategi berisiko rendah dan ganjaran tinggi berbanding kecurian data tradisional .